《AI Agent 在 Anolis OS CVE 数据增强及智能化评估的实践》-周彭晨.pdf

1、阿里云智能集团技术专家周彭晨AI Agent在Anolis OS CVE智能化评估的实践AI for Anolis OSSecurity体系建设Anolis OS风险类型AI for Anolis OS SecuritySecurity AI Agentas a ServiceAI Agent as a ServiceAI Agent for Anolis OS CVEAnolis OS CVE智能化评估实践Anolis OS CVE效率提升Anolis CVE 智能评估Demo演示AI for Anolis OS Security体系建设流程和策略风险如果没有合适的安全防护流程和策略，操作系

2、统的攻击面漏洞百出。开源许可风险软件供应链安全的一种，可迫使将产生的任何软件变成开源，使专利权无效。漏洞风险软件代码中的缺陷，可能会被加以利用，从而导致数据泄露等风险。三方依赖风险无法确认软件供应链其中某部分是否对任何外部机构有任何依赖项。Anolis OS风险类型AI for Anolis OS SecuritySecurity AI Agent as a ServiceAI Agent as a ServiceAI Agent for Anolis OS CVECVE数据增强智能体CVE数据增强智能体提供了操作系统（Anolis）软件供应链的数据采集、清洗、存储、查询、分析等能力，数据覆盖

3、供应链中依赖的上游软件信息、操作系统制品信息（rpm、版本等）、制品依赖信息、CVE信息、License信息等，主要包括：1.提供上游软件元信息、活动信息、告警信息等数据；2.实现操作系统相关的 CVE 威胁情报的自动化采集和分析能力；3.提供 CVE 全生命周期管理数据，为 CVE 智能化分析和问答能力的数据支撑；4.提供版本知识图谱，为版本看护提供自包含分析、软件包裁剪等版本看护能力；5.根据 CVE 和制品依赖链路，为 安全产品（龙盾）提供端侧的实时风险分析能力；AI Agent for Anolis OS CVE漏洞评估智能体第一步实现Agent智能体自动化替代人工流程，第二步针对自动

4、化过程中发现的情报不足、缺乏代码级验证、没有置信度评估等问题，通过智能化增强解决漏洞评估的不准确、不可解释的问题。重点技术包括：1.情报质量提升：构建基于 AI Agent 的跨源情报融合引擎，自动解析并结构化关键要素：受影响软件包及其版本区间、上游仓库/社区地址、修复补丁（含提交 ID/PR 链接）、发布时间与修复状态等。2.上下文感知的误报过滤：基于软件包名称、文件路径、接口签名与版本范围，将漏洞影响信息与被评估产品的实际依赖进行上下文比对；对比结果应给出明确判定规则与算法（例如字符串/语义匹配规则、依赖树匹配算法、置信度阈值），并输出误报判定理由。3.影响分析与判定：按照解析出的版本范围

5、、补丁位置与代码差异，判断漏洞是否实际影响产品。4.闭环动态知识库：建立评估规则库、历史案例库和人工审核反馈的闭环体系，记录规则版本、审核意见与改进记录，持续提升识别精度与判定一致性。CVE产品影响评估智能体AI Agent for Anolis OS CVE结合OS产品（Anolis、Alinux）的软件供应链数据以及MITRE Matrix数据，利用MITRE TTP、Kill Chain模型等安全技术为CVE进行安全性评估，安全技术型评估包括：1.CVE在OS的利用难易程度；2.CVE在OS的修复难易程度；3.CVE在OS的自主安全评分；4.CVE安全风险综合评估；5.CVE修复决策建议；CVE产品风险评估智能体Anolis OS CVE智能化评估实践Anolis OS CVE效率提在没有引入智能化评估之前，漏洞评估平均处理时间为30分钟，智能体评估节省时间总计79770分钟（约166人日）分类 超危高危中危低危合计内核 018613204711977应用 6169405113693总计 635517255842670Anolis CVE 智能评估Demo演示